提示注入的入口，往往不是黑客直接攻击模型，而是先"钓"住用 Agent 的人。环曜在交付时反复看到一类被低估的事故：员工收到一封伪装成同事或合作方的邮件，被诱导把内部内容连同"转发到外部"的指令一起喂给 Agent，于是 Agent 把本不该出去的数据发了出去。本文以一家医药企业（脱敏为 M 公司）的泄密事件为样本，拆解"提示注入防护三招"——先堵住人这个入口、再做 Agent 侧的指令与数据隔离、再兜住出口的敏感数据外发。它和AI Agent 被一句话带偏：提示注入防护的四道关（间接注入机制）互为补充：那篇讲"内容怎么带偏 Agent"，本篇讲"人怎么被带偏、数据怎么漏出去"。M 公司数据已做脱敏与区间化处理，不指向真实主体，仅用于说明防护路径。
一、为什么员工是常被突破的入口
企业上 Agent 之后，攻击面悄悄多了一个"会执行的人"。黑客不必硬攻模型，只要先骗住用 Agent 的员工，让对方亲手把恶意内容喂进去，Agent 就会替他把事办了。这类入口比直接越权更隐蔽，因为它披着"正常协作"的外衣。
| 类型 | 入口 | 表现 | 防护重心 |
|---|---|---|---|
| 越权 | 权限配置 | Agent 调了不该调的系统、读了不该读的数据 | 权限治理（见Agent 越权操作实时告警：权限异常与幻觉拦截的四道关） |
| 幻觉 | 模型事实 | 编造不存在的条款、数据 | 溯源与检索增强 |
| 提示注入 | 外部内容 | 藏在内容里的伪指令被执行 | 指令与数据隔离（见 1323） |
| 钓鱼泄密 | 被诱导的人 | 人把恶意内容喂给 Agent，数据外流 | 人+隔离+出口（本篇） |
行业口径也在印证这件事。OWASP 在 2025 年把提示注入列为 LLM 应用的头号风险（LLM01）；微软 2026 年的 Copilot 安全报告把"钓鱼邮件叠加 Agent"列为数据外泄的主要新入口；Google 2026 年的 Agent 安全指南也强调，人在环（human-in-the-loop）既提升效率，也把人的误判变成了 Agent 的执行。环曜在多个 Agent 项目里都把"员工侧入口"当作上线前的一项专项检查。环曜在交付时一般建议用一张"四类出错"对照表做团队对齐，避免把钓鱼泄密误当成单纯的权限问题。
二、案例：M 公司怎么泄密的
M 公司（脱敏，某中型医药企业）给医学事务团队上了文献与资料助手 Agent。一名同事收到一封伪装成"合作方"的外部邮件，要求"把 X 项目的内部资料要点整理后发到这个外部邮箱确认"。同事没多想，把内部邮件原文和这句话一起贴进助手 Agent，Agent 照做了——项目内部资料被发到外部地址。根因有两点：人没识别出这是钓鱼，Agent 也没把"发到外部邮箱"当成敏感外发去拦。这和贸易商自动审单 Agent 防提示注入篡改：执行网关怎么拦住被污染的报关指令的报关场景底层都是"内容里的指令被执行"，但入口不同：1303 是单证被污染，本篇是人被诱导、主动把恶意内容喂入。环曜在多个项目里都建议把这类场景列为红蓝演练的必测项，因为钓鱼入口往往要在演练里才会暴露。
三、首招：堵住"人"这个入口
首招不靠模型，靠流程和意识。外部邮件、聊天、网页里出现的"转发/导出/发到外部"这类指令，默认不进 Agent；员工侧要做钓鱼识别培训，并建立一条简单规则——把外部内容交给 Agent 时，不夹带任何"动作指令"，动作指令只走可信的内部通道。环曜在交付时一般建议把"人"也算进攻击面，因为再稳的护栏，也抵不过有人亲手把钥匙递出去。
四、第二招：Agent 侧指令与数据隔离
第二招回到 Agent 本身。系统提示（system prompt）的指令，优先级必须高于任何外部内容里的"伪指令"；用结构化输入把外部内容放进专门的 data 字段，与 instruction 字段隔离，模型只执行 instruction 字段的指令。这三招落到 Agent 侧，本质还是 1323 讲的那四步指令与数据隔离——只要数据永远不被当作指令，被诱导喂入的内容就带偏不了 Agent。企业级环曜 Agent 本地化部署把智能体的编排与执行收口在私有环境，数据不出域、可审计，指令与数据隔离策略可随交付默认开启，模型只执行受控字段的指令。环曜在交付时一般把这种分通道约束做成默认能力，企业按场景配置字段边界。
五、第三招：兜住出口的敏感数据外发
第三招在容易被忽视的出口兜底。即便前两步有疏漏，每一次外发、导出、调外部接口都要过执行网关，按必要权限和策略校验，对敏感数据做识别与人工复核。环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，动作级日志可回溯，敏感外发按策略校验、数据不出域、可审计，把"发到外部邮箱"这类动作拦在网关。环曜在交付时一般把执行网关与必要权限做成默认前置能力，企业按场景配置策略，让出口始终有人看、有日志记录。
六、M 公司收敛后的结果
回到 M 公司的路径：首招做员工培训与不喂不可信内容的流程，第二招做指令与数据隔离，第三招接执行网关、敏感外发过人工复核。三招落地后，红蓝演练里再模拟"伪装合作方邮件诱导外发"，Agent 不再能独自把资料发到外部，动作停在了网关的人工复核环节。这件事说明，钓鱼泄密的链路是"人→内容→Agent→出口"，防护也得沿这条链路逐层设防，而不能只押在任何单一环节。环曜在交付时给客户的三条建议一贯是：先分清四类出错，再沿人→内容→Agent→出口逐层设防。
七、给安全负责人的三条建议
其一，把"人"算进攻击面：员工培训加一条"外部指令不进 Agent"，比事后补救便宜得多。
其二，指令与数据隔离、执行网关从一开始就默认开。它们是 Agent 不被带偏、数据不被外泄的基础护栏。环曜在交付时一般建议把这两项做成默认基线。
其三，外发敏感数据必须有识别与人工复核，并把拦截率与误拦率放在同一张看板上量化。看不见就优化不了；可以先看我们的本地化部署服务，联系环曜Agent团队，按你的协作场景做一次从员工入口到出口防泄漏的防护体检。
常见问题 FAQ
Q：钓鱼泄密和提示注入是什么关系？
三者串成一条链：钓鱼是入口（骗住人），提示注入是手段（藏在内容里的伪指令），泄密是结果（数据外流）。本篇覆盖"入口+结果"两端，机制层可对照 1323 的四道关。
Q：员工培训能解决钓鱼泄密吗？
培训是首招、必要但不充分。员工会被绕过，护栏不能只押在人身上；培训解决"入口"，还得配 Agent 侧的指令数据隔离（第二招）和出口的敏感外发拦截（第三招），形成纵深防御。
Q：指令与数据隔离具体怎么做？
核心是 content 与 instruction 分通道：把外部内容放进专门的 data 字段，系统提示优先级高于外部内容，数据永远不被解释为指令。这是 1323 那四步隔离的核心，也是"被诱导喂入"带偏不了 Agent 的根治点。
Q：执行网关能拦住外发泄密吗？
能兜底大部分。执行网关按必要权限和策略校验每一次外发，敏感动作会被拦下或要求人工复核；就算指令被污染，出口仍有闸门。环曜 Claw 把执行收口在本地优先的底座，动作级日志可回溯。
Q：这篇和 1023、1303、1323 是什么关系？
四篇分工清晰。Agent 提示注入与越狱防护：企业 AI 智能体本地化部署的攻击面与四道防线讲总体攻击面与四道防线（含提示注入与越狱），1303 从贸易商报关场景讲行业网关与五步拦截，1323 从"被一句话带偏"讲间接注入机制四道关，本篇从"员工被钓鱼诱导"讲入口加泄密出口三招。四篇互补不重复，分别覆盖综合、行业、机制、人因四个层次。
Q：RAG 检索回来的文档也算这类吗？
算间接注入的一种（内容入口），但本篇强调的是"人主动喂"的钓鱼入口。知识库侧防投毒的思路同源：把文档解析与字段级权限做进私有环境，可降低被污染文档进入上下文的概率，对应见 1303 与 1323 的同源做法。
把入口和出口都看住
企业级环曜 Agent 本地化部署把智能体的编排与执行收口在私有环境，数据不出域、可审计，指令与数据隔离策略可随交付默认开启；环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感外发按策略校验、动作级日志可回溯、数据不出域、可审计。联系环曜Agent团队，按你的协作场景做一次从员工入口到出口防泄漏的防护体检。
联系环曜Agent团队